研究者らは、AnthropicのClaudeとOpenAIのCodexを用いて、広く使われているソフトウェアデコーディングツールに埋め込まれた深刻な欠陥を特定したと明らかにしました。この欠陥は、主要なインターネットプラットフォームや企業向けサービス、Webフレームワークをデータ窃取やリモートアクセスの脅威にさらす可能性があるといいます。
「HEIF Heist」と名付けられたこの脆弱性は、影響を受けるソフトウェアでメモリ破損エラーを引き起こし、攻撃者が被害者から機密データを盗み出せるようにするマルウェアの能力を指しています。木曜日に公開されたレポートの中で研究者らは、攻撃者が引き起こしうる被害の全容を説明しました。それには、OpenAIの内部リポジトリへのアクセス、ユーザーファイルやアクセストークンの漏えい、Amazon Web Servicesなどのオンラインサービスにおけるその他の機密データの流出、さらにはMetaの中核製品群、GitHub Enterpriseサーバー、オープンソースのインターネットフォーラムDiscourseを含む一連のオンラインサービスにわたるリモートコード実行権限の取得までが含まれます。
Hacktronの研究者であるHarsh Jaiswal氏、Mohan SRK氏、Rahul Maini氏、Sudhanshu Rajbhar氏は次のように記しています。「たとえリモートコード実行が即座に達成できない場合でも、この攻撃プリミティブによって任意のヒープ情報の開示が可能になることがあり、攻撃者は他のユーザーのデータや環境変数といったメモリ上のデータを『強奪』できてしまいます」
研究者らは、OpenAIやAnthropicの最先端モデルを含むAIシステムを研究の遂行に大きく依存しました。この研究の功績は、Hacktronの人間の研究者らが「主導し」、「Hacktron Harness、GPT-5.6 Sol、Opus 5の支援を受けた」ものだと説明されています。
この研究によれば、今回の攻撃は、C言語やC++のソフトウェア解析に使われるlibheifやlibde265など、多くの一般的なソフトウェアデコーダーに搭載されたコード解析ツールが、特定の画像ファイルを処理する方式の欠陥を突いたものです。
攻撃者は、悪意あるコードを仕込んで破損させたHEIF、HEIC、AVIF形式の画像ファイルをアップロードすることで、被害者側のアプリケーション層の防御の大部分を回避でき、多くの場合、大手AI企業やテック企業のアカウントや製品に対してリモートコード実行権限を獲得できてしまいます。
libheifの最新バージョンでは既にパッチが適用されていますが、研究者らは「最新の上流セキュリティパッチが適用されていない導入環境は、いずれも脆弱である可能性がある」と述べています。
9月13日付のブログで詳しく説明されたある事例では、Jaiswal氏、Maini氏、Hacktronの研究者Mohan Pedhapati氏が、画像パーサーの欠陥を含む2つの脆弱性を連鎖させることで、OpenAI従業員のアカウントを侵害できる仕組みを解説しています。
侵害したアカウントへのアクセス権を得た研究者らは、OpenAIの内部リポジトリにたどり着くことができました。概念実証として、彼らはその従業員のCodex認証情報を使い、プロジェクト間でコードを共有する一元管理ライブラリである同社の「モノレポ」に対してプルリクエストを作成しました。
研究者らが示したタイムラインによると、この欠陥は7月25日に発見され、数日以内にパッチが適用されました。最初の脆弱性発見からリポジトリへのアクセス獲得まで、攻撃全体にかかった時間は72時間未満だったといいます。OpenAIはこの功績に対し、バグバウンティとして6,500ドルを支払いました。
AIモデルが企業ネットワークや個人ネットワークへの統合を一段と深めていることを踏まえると、HEIF Heistを悪用する攻撃者は、OpenAIのシステムやデータにとどまらず、はるかに広範囲へアクセスできた可能性があります。
研究者らはこう記しています。「2カ月前まで、ユーザーやOpenAI従業員がOpenAI自身のヘルプフォーラムにログインしただけで、ChatGPTやCodexのアカウントを乗っ取られる恐れがありました。人々はさまざまなサービスをCodexやChatGPTに接続できるため、理論上アクセス可能な範囲はGitHub、Slack、メールを含め、非常に広大なものでした」
CyberScoopはこの研究および追加情報についてコメントを求め、OpenAIに問い合わせています。
一方で研究者らは、今回発見した攻撃経路は特に容易だったり効率的に悪用できたりするものではなかったとも述べています。
ブログにはこう記されています。「悪用にあたっては、対象のバージョンを特定した上でペイロード画像を作り込む必要があります。私たちのRCE(リモートコード実行)の試みの一部は、数千回もの画像アップロードを経てようやく成功にたどり着きました。とはいえ、GPT-5.6 Solのような最先端モデルを使ったAIエージェント方式のアプローチにより、初期調査からリモートRCE達成までのエクスプロイト開発時間は、おおむね1日から3日にまで短縮されました。意欲のある攻撃者であれば、脆弱なアップロードエンドポイントをRCEや情報漏えいへと転用できてしまうでしょう」
翻訳元: https://cyberscoop.com/hacktron-ai-heif-heist-vulnerability/
